Cybercafe varnost

Stacionarni računalnik: GNU/Linux z zaklenjenimi nastavitvami omizja. Po vsaki odjavi se lahko celoten "guest" imenik izbriše in nastavi na izhodiščno vsebino.

Prost dostop: v izogib težavam uporabi kakšen sistem, ki dodeljuje "token-e" z omejenim rokom trajanja. Idealno bi bilo, če jih blagajna natisne kar neposredno na račun. Ko jim rok trajanja poteče, postanejo nerelevantni.

Na požarnem zidu pusti odprta vrata 443,tcp ostalo pa samo po potrebi, če boš videl, da so stranke bolj specifične sorte (npr. kakšni VPN-ji na 4500,tcp ali POPS, IMAPS). Za vrata 80,tcp uporabi transparenten HTTP proxy, ki bo izvjal minimalno filtriranje, kar ga potrebuješ. Za vrata 53 uporabi svoj caching DNS, ki naj servira samo notranje omrežje (npr. dnsmasq).

Nujno uporabi toliko pameten požarni zid, da boš lahko omejil število sočasno odprtih povezav in "profil" posamične povezave na način, ki bo omejil možnost zlorabe. Npr. 25 sočasno odprtih povezav za vsak računalnik, pri temu pa je vsaka povezava profilirana tako, da npr. prvih 100kB podatkov preko ene tcp seje spusti z maksimalno hitrostjo, potem pa hitrost pade na recimo omejenih 1kB/s. To tipično omogoča hitro surfanje, ubije pa P2P protokole za prenos datotek. Hkrati pa jih pusti tolikanj odprte, da npr. MSN še vedno deluje dokaj normalno.

Rešitve za tvoje dileme pa so:

se ne bo obremenjevalo bandwidtha z raznimi torrenti, mulami, ipd.

Lahko bo kdo poskušal, vendar pa bo zaradi padca hitrosti po 100 prenešenih kB verjetno hitro odnehal. Ravno tako pa bo to "ubilo" tudi youtube in ostale običajno manj znane odžiralce pasovne širine.

se ne bo nalagalo kakršnekoli programske opreme (legalne in nelegalne)

Zaklenjen GNU/Linux te odreši te težave. Alternativno lahko zakleneš tudi Windows namizje, vendar pa ti bo to vzelo malo več časa in dela.

se ne bo obiskovalo porn strani - ni glih apetitlih za eno familijo, ki pride v lokal in vidi enega velikega tiča na namizju

Na stacionarnem je to urejeno z zaklenjenim profilom, na prenosnikih je to urejeno z vsesplošnim puritanskim zgražanjem dvolične okolice "kršitelja".

se ne bo obiskovalo warez strani in strani, ki so potencialno nevarne za viruse ipd

Do neke mere se to bo počelo. Ne bo pa imelo veliko haska, saj veliki prenosi (rapidshare) oziroma P2P ne bodo delovali tako, kot si bi "kršitelji" želeli.


Na koncu pa se drži še najbolj pomembnih petih pravil vseh pravil tega početja:
- Preveri, da tvoj ponudnik dostopa dopušča takšno uporabo.
- Port 25,tcp ni nikoli odprt v nobeni smeri in pod nobenim pogojem
- Ne shranjuj kakršnih koli logov. Kadarkoli. Če misliš, da jih potrebuješ, premisli ponovno. Ugotovil boš, da jih NE potrebuješ.
- Nikoli in ne glede na kakršen koli razlog ne spremljaj ali prestrezaj prometa na povezavi.
- Ko je bar zaprt, je dostopna točka izključena iz elektrike.

V lokalu smo omogočili wi-fi dostop, na voljo pa bo tudi en stacionarni računalnik. Trenutno zbiram ideje in nasvete kaj vse bo potrebno zaščitit in nastavit, da:

- se ne bo obremenjevalo bandwidtha z raznimi torrenti, mulami, ipd.
- se ne bo nalagalo kakršnekoli programske opreme (legalne in nelegalne)
- se ne bo obiskovalo porn strani - ni glih apetitlih za eno familijo, ki pride v lokal in vidi enega velikega tiča na namizju :p
- se ne bo obiskovalo warez strani in strani, ki so potencialno nevarne za viruse ipd.

1. WRT54GL router + tomato za blokado P2P
2. Odstrani admin pravice uporabniku.
3. Se ne da, oz boš moral ročno vpisovat vse naslove.
4. Se ne da, oz boš moral ročno vpisovat vse naslove.

Zakompliciraš lahko kolikor hočeš in še vedno bo kaj za uredit.

Za ene par PC-jev pa jaz zagovarjam "good enough" rešitev.

ne vem kakšen router imaš, ampak moreš še videt tomato ki se sesuje.

Jao mene, samo ti pa se rad kregaš z offtopic debatami. Jaz sem ti samo hotel dopovedat da tomato se ne sesuje in nima težav z 1000+ povezavami.

Linija mi ne premore več kot 500-600 povezav.

# free
total used free shared buffers
Mem: 14544 10664 3880 0 1200
Swap: 0 0 0
Total: 14544 10664 3880
# uptime
23:00:26 up 30 days, 16:27, load average: 0.00, 0.00, 0.00

Tomato pa sploh ne opazi da se je kaj zgodilo.

Tomato sem montiral na ene 20+ lokacijah, nikoli nisem imel enega klica glede tega routerja.

P.S: Nekaj tem nazaj smo ugotovili da Asus router(podpira tomato) ima več rama in hitrejši CPU, vendar za 10+ PC-jev ne vidim potrebe.

ne itak ko P2P zabije linijo gre vse v maloro, ampak za to ni kriv router. Osebno sem to uspel omejit z blokado P2P.

Jao mene, samo ti pa se rad kregaš z offtopic debatami. Jaz sem ti samo hotel dopovedat da tomato se ne sesuje in nima težav z 1000+ povezavami.

Tukaj je sama programska oprema sekundarnega pomembna, najbolj pomembna je hitrost procesorja in količina rama.

Večina usmerjevalnikov, ki podpirajo Tomato / dd-wrt pa ima na žalost bolj šibke procesorje (200 - 300Mhz), zato lahko o tvojih 1000 sočasnih povezavah kar sanjaš.

Trenutno nimam na razpolago nobenega usmerjevalnika z dd-wrt / Tomato, da bi ti pokazal log, ampak pri velikem številu odprtih povezav se CPU obremeni do konca in posledično je load average v višavah.

V primeru, da vklopiš QoS pa zadevo samo še dodatno poslabšaš in se usmerjevalnik še prej obesi (seveda ob velikem številu povezav).

Zadeva je čisto logična - dodatno procesiranje ob že tako šibki CPE...

router: zična verzija WRT54GL. firmware: orginalen.
torrenti-> dl 100%, up 80% ->$lsof -ni|grep -c TCP = 1258,
brez qos 1min odpira strani, z qos 2s. sem pa že slišal, da qos večinoma povzroča več težav.

edit: od kot je pa zdaj ncq prišel?

Poglej si malo Pfsense (predvsem captive portal, squid, squidguard, traffic shaper)